Connexion
Abonnez-vous

Linux : importante faille dans sudo, la plupart des distributions mises à jour

Action locale, mais pleins pouvoirs

Linux : importante faille dans sudo, la plupart des distributions mises à jour

Le 01 juin 2017 à 14h30

Une importante faille de sécurité a été détectée dans sudo, un programme Linux bien connu permettant de réaliser des actions avec des droits administrateur. La faille a été révélée hier et est déjà corrigée, les utilisateurs étant invités à mettre à jour leurs machines aussi rapidement que possible.

Sudo, pour « superuser do », est un outil Linux/Unix qu’un grand nombre d’utilisateurs connaissent bien. On le trouve notamment dans Debian et de nombreuses distributions qui en découlent, notamment Ubuntu. Il permet de déclencher des actions spécifiques avec des droits administrateurs sans avoir à basculer sur un compte permettant de les réaliser. Les droits sont alors accordés de manière temporaire, après validation du mot de passe.

Un manque de contrôle sur les espaces

Hier, les chercheurs de Qualys Security ont publié que les versions 1.8.6p7 à 1.8.20 étaient toutes touchées par une faille de sécurité « sévère », exploitable localement. Estampillée CVE-2017-1367, l’ensemble de ses détails n’est pas connu, Qualys attendant qu’une majorité de machines aient été mises à jour avant de montrer notamment son prototype d’exploitation.

On sait cependant que le souci réside dans la fonction « get_process_ttyname() », c’est-à-dire dans la façon dont sudo analyse les informations tty présentes dans le fichier de statut du processus. L’usage de cette fonction peut être détourné par un utilisateur local : via une commande spécifique incluant des espaces (que sudo ne compte pas), il peut contourner les protections habituelles et obtenir des droits complets, lui permettant alors de réaliser d’autres actions.

La plupart des distributions sont déjà à jour

La plupart des distributions ont déjà été mises à jour. C’est par exemple le cas de Red Hat, qui a publié hier des correctifs pour les versions 6 et 7 de RHEL (Red Hat Enterprise Linux). Idem pour SUSE et Debian, dont les versions Wheezy, Jessie et Sid sont toutes à jour. Il est évidemment recommandé aux utilisateurs de récupérer le plus rapidement possible ces nouvelles versions pour être à l’abri.

L’avertissement vaut surtout pour les administrateurs système en charge de serveurs sous Linux. Un particulier qui contrôle sa machine ne se sentira pas forcément en danger, mais un serveur peut être manipulé par plusieurs personnes, dont l’une pourrait alors exploiter la faille pour se rendre maître de la machine.

Comme indiqué, Qualys n’en dira pas plus pour l’instant et attendra que le danger soit éloigné pour publier les détails complets sur la vulnérabilité.

Commentaires (100)

Vous devez être abonné pour pouvoir commenter.

Abonnez-vous
votre avatar

Faille corrigée et version déjà poussée par les mainteneurs des distributions Linux dans les mises à jour du système.



Pendant ce temps là, sur les OS de smartphones, les failles sont corrigées et sur un malentendu, l’utilisateur final peut en bénéficier après avoir racheté un nouveau modèle. <img data-src=" />

votre avatar







oomu a écrit :



Non, posons nous les vraies questions : SystemD ou System V ? :) Vous avez 4h, les délégués ramasseront les copies.





Pour ce débat là, ce serait plutôt «les délégués ramasseront les morceaux» <img data-src=" />


votre avatar

OK, merci.



En fait, si je comprends bien, la faille se trouverait dans du code de sudo qui n’est activé qu’en présence du support de SElinux

votre avatar

J’ai bien l’impression. Le souci est qu’il y a ambiguïté au niveau des différents rapports que j’ai pu voir au niveau de cette faille. Certains disent qu’il faut SELinux, d’autres non. Donc je finis par être sec…

votre avatar







SebGF a écrit :



Pendant ce temps là, sur les OS de smartphones, les failles sont corrigées et sur un malentendu, l’utilisateur final peut en bénéficier après avoir racheté un nouveau modèle. <img data-src=" />





Je sais qu’on est vendredi, mais tu es sûr qu’il y a une commande sudo sur les smartphones non rootés ?


votre avatar

Il ne parle pas spécifiquement de cette faille.

votre avatar







skankhunt42 a écrit :



Après l’alternative c’est sudo bang bang à la fin de la commande.



merci je ne connaissais pas cette commande

J’ai même trouvé le dessin qui va bien

https://justinsomnia.org/2006/09/sudo-bang-bang/

&nbsp;


votre avatar

La première chose que l’on apprend sur Linux, c’est de ne jamais utiliser d’espaces, maintenant je sais pourquoi, “it’s not a bug” <img data-src=" />

votre avatar

L’autre première chose qu’on apprend, c’est de considérer que tôt ou tard, quelqu’un en mettra

votre avatar

+1000 Merci de corriger la news.

&nbsp;Même si dans la plupart des usages les gens se connectent en root “parce qu’un bon bazooka pallie bien la déficience en crochetage ou déguisement”, l’usage sérieux et raisonné consiste à pleinement exploiter l’outil sudo pour définir différents niveaux de permissions ou se substituer lorsque nécessaire à des utilisateurs particuliers (ex serveur web : on préfèrera créer des répertoires ou décompresser des archives en tant que www-data directement, qui est l’utilisateur créé par défaut pour tous les serveurs web, plutôt que de passer par root avec risque de problèmes subséquents de permissions).

votre avatar

Si je voulais faire le vieux con, je dirais bien RTFM (pour une commande, man “nomdelacommande” t’affiche l’aide en texte brut, tu peux quitter à tout instant avec la touche q -pour “quit”)… <img data-src=" />



Mais en vrai faut avouer que parfois le man est assez cryptique (surtout lorsque on est encore au stade où on cherche à piger à quoi sert une commande).

Cela dit ça fait toujours une première base, après sur internet outre les inévitables threads sur Open Stack et similaires, tu trouves des outils sympas commehttps://explainshell.com/ qui “t’explique” (enfin, comme il peut) le sens d’une chaîne de commandes.



Par ailleurs, s’il est toujours déconseillé de jouer avec les opérations “destructrices” (de type mv/rm) surtout en commandes chaînées, tu peux te familiariser tranquillement rien qu’en jouant avec des commandes informatives telles que find (trouver des fichiers), du (disk usage), ls (list), grep (renvoyer des lignes de fichier comprenant une chaîne de texte) et le concept de chaînage (“piping” en anglais avec le caractère |).



Rien que maîtriser ces commandes au quotidien peut grandement te faciliter la vie une fois les options les plus courantes assimilées.

Par la suite, tu pourras jouer la finesse en créant des alias pour tes chaînes de commande (je te conseille de le faire tard cela dit, si tu le fais tout de suite tu n’apprendras pas vraiment).

&nbsp;

votre avatar

Petit bonus pour la route c’est cadeau ça me fait plaisir (de tête j’espère ne pas me planter <img data-src=" />)

du –max-depth=1 -h . | sort -rh

Commande qui te retourne une vue d’ensemble de l’espace utilisé par le

répertoire courant et ses sous-répertoires directs, en ordre décroissant

de taille. :)

votre avatar

Elu commentaire boulet du jour. <img data-src=" />

J’espère que tu n’es pas admin sys pour de gros systèmes d’information dis donc… <img data-src=" />



Il est certain que vraiment exploiter sudo c’est assez relou parce que ça nécessite de bien concevoir sa stratégie d’élévation de privilèges. Et ce n’est qu’une manière parmi d’autres de sécuriser un système.



N’empêche que faire cet effort est gratifiant à long terme. :)

Rappel d’un principe de base de sécurité (même si c’est généralement antinomique avec la notion de flexibilité donc ça fait hurler les utilisateurs <img data-src=" />) : n’attribuer que les droits nécessaires pour limiter la surface d’exposition.



Après c’est sûr pour gérer son serveur perso, bon, on peut effectivement s’en passer <img data-src=" /> (quitte à prendre du temps, autant le passer à verrouiller un accès en root par clé ssh + ip fixe uniquement, plus pratique à terme pour les grosses maintenances sans trop compromettre la sécurité). Même si le fin du fin serait en fait de combiner ça avec sudo (connexion distante par ip+clé sur utilisateur courant, seul autorisé à exploiter sudo pour passer root par mot de passe interposé).



Et encore, je ne suis qu’un pauvre amateur. Je suis sûr que ce que je décris là couvre à peine 5% de tout ce qu’on peut faire en termes de sécurisation. <img data-src=" />

votre avatar

@citan666



Je me demande si ce ne serait pas plus utile de suivre une formation Linux. J’ai toujours eu des difficultés avec les périphériques extérieurs (imprimantes, et bien d’autres choses dont à l’époque de l’Amiga je pouvais m’en passer) et pas que. j’avais quand même une vision plus clair de tout ce qui se trouvait dans l’amigados.



Pour Linux, j’ai l’impression de lire une multitude de mots sans cesse grandissant que ce soit pour des librairies, et autres fichiers. L’Amiga dos n’avait pas autant de fichiers et tout semblait clair, pour comprendre +- chaque nom s’y trouvant, avec le temps.



Je ne suis pas informaticien (je crois je n’ai pas besoin de le dire)<img data-src=" />

votre avatar

Heureusement que j’ai Windows 10. Je me sens beaucoup plus en sécurité du coup.



Quelle idée d’utiliser Linux…&nbsp;ce truc bourré de failles…



C’est vendredi, je suis déjà loin =&gt;[]&nbsp;

votre avatar







2show7 a écrit :



Je comprends. Mais ai-je encore envie d’apprendre ? là est la question (voir mon commentaire précédent)





La courbe d’apprentissage est très facile surtout si à l’époque tu à un peu touché à dos. Je vais prendre 5 minutes et expliquer pourquoi sans avoir un discours de libriste intégriste foirax qui fera systématiquement fuir les nouveau utilisateurs potentiels en essayant de faire une comparaison avec windows en prenant pour exemple l’installation d’un serveur web ( compliqué hein ? ).



Sous windows tu va télécharger sur le site officiel un .exe puis tu va l’exécuter et cliquer sur suivant plusieurs fois. Une fois l’installation finie tu va cliquer sur 3 ou 4 boutons pour installer différent services. Ensuite tu va devoir naviguer à la souris dans plusieurs répertoire pour éditer des fichier de config puis recharger le soft avec encore 2 ou 3 clics. Pour pouvoir exécuter ce genre de procédure tu suivra surement un tutorial avec des captures d’écran, ect.



Sous linux tu va sur une page de tutorial puis tu ouvre une console et tu copie plusieurs commande dans un champ de texte qui va te permettre d’automatiquement télécharger le soft et l’installer. Tout ce que tu aura à faire c’est apuyer sur Y puis entrée pour valider certaines actions. Ensuite tu copie colle 2 autre commande pour éditer le fichier de config et une dernière commande pour relancer le bousin.



Au final installer un soft et le configurer puis le sauvegarder / restaurer est 10 fois plus simple sous linux. Le seul danger c’est qu’il faut suivre le bon tutos et ensuite sauvegarder les commande dans un fichier sur ta machine. Car il y à des sites qui rajoute des commande pour planter / hack ta machine…



&nbsp;


votre avatar







SebGF a écrit :



La laser couleur Brother que j’ai prise l’année dernière s’est installée comme un charme avec le petit exécutable qu’ils proposent sur leur site sur mon Ubuntu.

Même pas eu besoin d’aller chercher quoique ce soit d’autre, le script shell qu’ils donnent demande juste le modèle (compétence requise : savoir lire) et enjoy.



Je ne peux pas en dire autant quand je l’ai installée sur le WIndows 10 de mon PC de jeux. Je ne pense pas avoir réussi à lui faire cracher une page de test… La seule nécessité que j’ai sur ce système, c’est parce que l’utilitaire pour le scan vers PC n’est hélas pas porté sous Linux.







Je viens d’installer cette après-midi une Brother laser NB et un scanner Epson V200 sur Fedora 26 Alpha.



Bilan des courses :



-imprimante : le gestionnaire de la distro m’a fait tout le boulot tout seul, je n’ai eu qu’à sélectionner le bon type d’engin dans le menu qui va bien et laisser faire le soft ;



-scanner : un package à charger chez Epson avec un script sh à exécuter en root. Rien de plus, et une fois fait, l’engin est prêt à l’emploi.



Linux, c’est de plus en plus noob-friendly : quand j’ai vu que même Canon avait des pilotes pour ses imprimantes, j’ai été agréablement surpris.



Tiens, j’ai branché à l’instant sur la même bécane une clef usb wifi (DLink DWA-140 pour ne pas la citer), rien à installer, elle fonctionne direct. Il y a six ans, il fallait compiler des pilotes pour qu’elle fonctionne…


votre avatar

Effectivement, cet aspect est de plus en plus simplifié et supporté par les fabricants d’imprimantes. (probablement hérité du monde de l’entreprise et des solutions d’impression basées sur CUPS)



Ma Canon laser NB qui a 8 ans fut un monstrueusement plus galère à installer avec les pilotes et le service CAPT à gérer… A côté de ça l’outil fourni par Brother permet de faire installer ça par le premier mec choppé dans la rue.



Avec de plus en plus de solutions basées sur le noyau Linux qui s’imposent pour le monde de l’entreprise (au hasard, la dominance de Red Hat ou encore Novel avec SLES, coucou les <img data-src=" /> qui ont grandi avec Netware), c’est évident que les fabricants fournissent de plus en plus de facilité pour installer leurs produits dessus.

votre avatar

En fait c’est réglable par stratégie local et ce n’est pas par défaut.

Pour le reste la plus part des utilisateurs garde leur compte admin alors que la sécurité voudrait que le compte utilisateur n’ai que des droits utulisateur et qu’un compte admin soit activité pour les taches d’administration. C’est ce que j’ai sur mon pc Windows et je pense que ça peux limiter pas mal de dégâts. De plus si le profil utilisateur est foireux le compte admin permet de dépanner.

votre avatar

Mise à jour effectuée avec succès sous Debian (version 1.8.10p3-1+deb8u4). Merci pour l’info PCI, vous êtes au top !



<img data-src=" />



apt-get install –only-upgrade sudo

votre avatar

… quand il y avait des failles mais que personne ne le savait. <img data-src=" />

votre avatar

Avec ouverture automatique de session au démarrage? Au moins quand tout est ouvert personne n’essaie de fracasser une porte <img data-src=" />

votre avatar







gogo77 a écrit :



Avec ouverture automatique de session au démarrage? Au moins quand tout est ouvert personne n’essaie de fracasser une porte <img data-src=" />







De toute façon pour les modifications, il faut le mot de passe, non ?


votre avatar







2show7 a écrit :



De toute façon pour les modifications, il faut le mot de passe, non ?







Pas si tu es loggé root.


votre avatar







gogo77 a écrit :



Avec ouverture automatique de session au démarrage? Au moins quand tout est ouvert personne n’essaie de fracasser une porte <img data-src=" />





Non.

Contre-exemple : les fenêtres sont bien toujours ouvertes au 4 vents, et tout le monde les force à loisir


votre avatar







Cashiderme a écrit :



Pas si tu es loggé root.







Désolé. Je ne comprends pas tout à fait le sens et les avantages de ce terme


votre avatar







2show7 a écrit :



Désolé. Je ne comprends pas tout à fait le sens et les avantages de ce terme





Sous nux tu à utilisateur ( avec des droit plus ou moins restreint ) ou root ( admin ) et dans la console rajouter sudo avant de lancer une commande te demande ton mot de passe ( non visible à l’écran ) et exécute la commande avec les droit root.



Après tout dépend le niveau de sécurité dont tu à besoin. Sur un ordinateur perso / relié au net tu peut être root et te déco quand tu à finit mais dans un environnement de travail sécurisé tu quasiment que du sudo ( ça doit être lourd à force ). Après l’alternative c’est sudo bang bang à la fin de la commande.


votre avatar

C’était donc ça la MAJ de sudo hier sur mon serveur Debian

votre avatar







2show7 a écrit :



Désolé. Je ne comprends pas tout à fait le sens et les avantages de ce terme





Sudo permet une élévation de privilège ponctuelle ou non définis par ton “user”, c’est un peu l’équivalent (en mieux) du “exécuter en tant que” de windows.



Sachant que sous linux, l’administrateur est “root” donc “sudo” est équivalent à “éxécuter en tant que root” même si c’est pas tout à fait ça dans les faits.



Si tu es déjà logé en root (ou en admin sous windows) la commande “exécuter en tant qu’admin” ne te sert à rien :)



Clair ?


votre avatar



Sudo, pour « superuser do », est un outil Linux/Unix qu’un grand nombre d’utilisateurs connaissent bien […] Il permet de déclencher des actions spécifiques avec des droits administrateurs





Pas d’accord.

Il me semble que « sudo » signifie plutôt « swap user do » ou « substitute user do ». Grâce à l’option « -u », sudo permet de réaliser des actions avec le compte de n’importe quel utilisateur. Par exemple, la commande :

sudo –u bertrand firefox

lancera le logiciel firefox en tant qu’utilisateur bertrand, avec les droits et les restrictions de l’utilisateur bertrand.



En l’absence de l’option « -u », c’est avec le compte root que les commandes sont lancées.

votre avatar







skankhunt42 a écrit :



Sous nux tu à utilisateur ( avec des droit plus ou moins restreint ) ou root ( admin ) et dans la console rajouter sudo avant de lancer une commande te demande ton mot de passe ( non visible à l’écran ) et exécute la commande avec les droit root.



Après tout dépend le niveau de sécurité dont tu à besoin. Sur un ordinateur perso / relié au net tu peut être root et te déco quand tu à finit mais dans un environnement de travail sécurisé tu quasiment que du sudo ( ça doit être lourd à force ). Après l’alternative c’est sudo bang bang à la fin de la commande.







Je pensais que rentrer le mot de passe te faisait passer d’utilisateur à admin puisque ça permet de modifier ou nom des actions ou installer ou non certaines màj



Pour Sudo (il faut déjà comprendre la syntaxe des commandes, j’ai utilisé par le passé le shell (cli) d’amiga, je connaissais assez bien toutes les commandes vraiment utiles) et autres commandes, je me sens si gauche et perdu que je ne m’y risque pas. Avoir les magazine pour Amiga m’aidait beaucoup, avec beaucoup d’exemples. Mettre un point d’interrogation derrière les commandes permettait de connaître les syntaxes d’une commande (les commandes se trouvaient dans le répertoire “DOS”:C/ )


votre avatar







127.0.0.1 a écrit :



La gestion des espaces en ligne de commande (Linux/windows) c’est toujours problématique, et donc source de bugs/failles.



Unix, c’était mieux avant… <img data-src=" />





Unix et Linux, ce n’est pas la même chose. A ma connaissance, mais je ne connais pas tout, aucune distrib Linux n’est certifiée Unix.

Cette faille n’existe pas sous macOS, certifié Unix depuis la version 10.2, si je me souviens bien.


votre avatar







Ramaloke a écrit :



Sudo permet une élévation de privilège ponctuelle ou non définis par ton “user”, c’est un peu l’équivalent (en mieux) du “exécuter en tant que” de windows.



Sachant que sous linux, l’administrateur est “root” donc “sudo” est équivalent à “éxécuter en tant que root” même si c’est pas tout à fait ça dans les faits.



Si tu es déjà logé en root (ou en admin sous windows) la commande “exécuter en tant qu’admin” ne te sert à rien :)



Clair ?







Je comprends. Mais ai-je encore envie d’apprendre ? là est la question (voir mon commentaire précédent)


votre avatar

Je n’ai qu’un accès root aux machines que j’administre.

votre avatar







heret a écrit :



Unix et Linux, ce n’est pas la même chose. A ma connaissance, mais je ne connais pas tout, aucune distrib Linux n’est certifiée Unix.

Cette faille n’existe pas sous macOS, certifié Unix depuis la version 10.2, si je me souviens bien.





C’est quoi une certification unix ?


votre avatar







CaptainDangeax a écrit :



C’est quoi une certification unix ?







Il parle surement de Posix.


votre avatar

toujours en 1.8.20 sur Manjaro

votre avatar

Voilà pourquoi je me connecte toujours en root <img data-src=" />

votre avatar

Pareil mais je savais pas encore pourquoi.

votre avatar

une faille dans linux <img data-src=" />

votre avatar

J’ai reçu une MAJ de sudo aujourd’hui (opensuse Leap 42.2). Ça correspond probablement à cette faille.

votre avatar

Il faut aussi que SELinux soit activé pour pouvoir l’exploiter. Comme je ne l’ai pas sur ma Debian je suis tranquille. :-) Apparmor à la place.

votre avatar

Salut,



MAJ pour Mint et CentOS faite !!





A+

votre avatar

Un truc que je ne capte pas …



On lance un sudo pour pouvoir passer des commandes en mode root.



Du coup, que sudo comporte une faille, ça va permettre quoi de plus que de lancer une commande en root ?



à moins que ça ne permette de lancer une commande même si on n’a pas le bon password pour le sudo, là, ok …

votre avatar

La configuration sudo permet de définir un ensemble d’actions privilégiés autorisées pour un utilisateur donné.



Donc effectivement, pour un utilisateur pour lequel cet ensemble c’est {tout}, ça ne change rien.

Mais pour les autres, je suppose qu’un parser se prend les pieds dans les espaces.

votre avatar

sudo permet aussi de restreindre les commandes qui peuvent être exécutées avec les droits super-utilisateur en fonction de l’utilisateur.

votre avatar

Sudo peut aussi t’autoriser à n’exécuter qu’une liste de commandes en root. C’est pas juste un on/off.

votre avatar

Je ne comprends pas.

Il faut SElinux pour sudo ou bien il faut SElinux pour la faille ?

votre avatar

sudo + SELinux.



Regarde la CVE ici tu verras :

https://www.sudo.ws/alerts/linux_tty.html

votre avatar

ok, merci pour ces précisions :)

votre avatar







Drepanocytose a écrit :



Voilà pourquoi je me connecte toujours en root <img data-src=" />









Cashiderme a écrit :



Pareil mais je savais pas encore pourquoi.







<img data-src=" /> You both made my day ! <img data-src=" /> <img data-src=" />


votre avatar

La gestion des espaces en ligne de commande (Linux/windows) c’est toujours problématique, et donc source de bugs/failles.



Unix, c’était mieux avant… <img data-src=" />

votre avatar

Tout à fait d’accord, sudo permet d’endosser les droits de n’importe quel utilisateur du système, le fait que l’invoquer sans préciser de nom d’utilisateur implique qu’on demande les droits “root” n’est qu’un cas particulier et du coup ta “traduction” de l’acronyme est plus exacte.

votre avatar

Bon, mise à jour de ma Fedora 25 fait à l’instant, j’ai vu passer un nouveau paquet selinix, ça doit être dedans…



J’ai encore mes autres bécanes à mettre à jour, ça va bien m’occuper ce week-end.

votre avatar







heret a écrit :



Unix et Linux, ce n’est pas la même chose. A ma connaissance, mais je ne connais pas tout, aucune distrib Linux n’est certifiée Unix.

Cette faille n’existe pas sous macOS, certifié Unix depuis la version 10.2, si je me souviens bien.





Oui because certifier SUS (Single Unix Specifications, basée sur la normePOSIX) vaut quand même son pesant d’or, d’où l’intérêt du projet GNU (GNU’s not UNIX) de se centrer sur du Unix Like<img data-src=" /> Free as freedom …


votre avatar

ah… la bonne époque du “rlogin toto -l -froot” sur IBM. <img data-src=" />



Non, c’était mieux avant qu’on transforme un OS pour sysadmin en OS pour noob. <img data-src=" />

votre avatar







Cashiderme a écrit :



toujours en 1.8.20 sur Manjaro





Sous Arch, sudo vient de passer à 1.8.20-p1.1 après avoir lancé un yaourt.



&nbsp;

Ce “p1.1” doit correspondre à un correctif à la faille.<img data-src=" />


votre avatar
votre avatar







RisingForce a écrit :



Sous Arch, sudo vient de passer à 1.8.20-p1.1 après avoir lancé un yaourt.



 

Ce “p1.1” doit correspondre à un correctif à la faille.<img data-src=" />







Ça devrait arriver ici aussi bientot alors.



Et c’est pas bien de jouer avec la nourriture.


votre avatar

Et c’est aussi corrigé sur Ubuntu.

votre avatar

Un truc m’échappe: il est indiqué que les versions affectées sont les 1.8.6p7 à 1.8.20 inclusives.

Pourtant le correctif proposé par RedHat pour les version 6 de ses distrib fera passer sudo en 1.8.6p3-28

Si les versions antérieures à 1.8.6p7 ne sont pas touchées, à quoi sert ce ce correctif ?

(source)

votre avatar

Parce que dans RHEL6 tu as des backports dans tous les sens, y compris pour Docker au niveau du noyau qui est un 2.6.32… (bon OK Docker ne marche pas super sur cette distro apparemment mais quand même)

votre avatar

Sudo n’est pas simplement “exécuter en admin”



il permet de demander une élévation de privilège (qui peuvent très serré, genre, on peut juste lancer un certain programme, et on peut aller très loin maintenant avec les nouvelles facultés de linux)



ou simplement d’exécuter une commande en tant qu’un autre utilisateur sans privilège particulier. (pratique si on veut corriger un problème en tant qu’un employé dont on a la responsabilité)



Et donc, la gestion de sudo peut être bien plus fine que l’usage habituel qu’on en fait.







  • Linux, Unix, etc.



    Oui, Linux n’est pas Unix.



    Mais de nos jours, en 2017, très sincèrement, cette problématique est devenue obsolète. Il existe parfois des cas où il faut toujours utiliser un AIX, pour des machines bien précises.



    Mais dans la pratique de la quasi totalité des entreprises et indépendants: linux c’est du unix. On prend un bouquin posix, on connait les grandes lignes, et zou !&nbsp;



    Et puis honnêtement, ça serait une vue très limitée. De nos jours, on en est plus à vouloir du framework (du rails, du j2ee, du xamarin, etc), du docker, du openstack, etc. que de se demander encore “mais… très cher ami, peut on vraiment considérer que Linux est un Unix ?”



    Faudrait un “C’est Pas Sorcier” sur ça :)





  • Osx..MacOs est effectivement certifié Unix. Apple a formellement fait passer la certification à son logiciel.



    Comme vous le savez tous, ça a beaucoup aidé Apple à maintenir une activité de serveurs d’entreprises et de produits SAN/Réseau/Middleware etc. &nbsp;(c’est du sarcasme hein…)





  • Bref, c’est bien sur un plan intellectuel de savoir pourquoi Unix, pourquoi GNU, &nbsp;ce qu’est Linux et sa différence avec FreeBSD, la certification ou pas, Posix ou Pas, pour avoir un recul, pour savoir un peu qu’il y a du Sens.



    Mais on a plus besoin de savoir ça pour vivre. C’est un débat d’un autre âge.



    Non, posons nous les vraies questions : SystemD ou System V ? :) Vous avez 4h, les délégués ramasseront les copies.

votre avatar

Bon, j’ai une version potentiellement touchée, la 1.8.19p2, sur ma Fedora.



S’ils ont corrigé les Red Hat, ça ne devrait pas tarder sur ma Fedora 25.



Vérifié à l’instant : c’est pas une version à jour. À voir demain avec un dnf update.

votre avatar

J’ai eu une mise à jour “composants de base” sur ma Ubuntu 16.04, c’est ça ? (je n’ai pas vu la description)

votre avatar

D’accord ou pas c’est ce que ça signifie. Et c’est même sudo qui le dit que sudo signifie su “do”. Et en plus tu nous parle seulement d’une option à sudo donc bon.

T’façon avec sudo, la seul commande utile c’est sudo -s. Le reste c’est

pour les mecs qu’aiment se compliquer la vie, qui veulent se donné un

style alors qu’ils en ont pas. <img data-src=" />

votre avatar







tiret a écrit :



sudo + SELinux.



Regarde la CVE ici tu verras :

https://www.sudo.ws/alerts/linux_tty.html







C’est quand même les boules de savoir que la faille n’est présente QUE quand SELinux est actif et que sudo est compilé avec le support de SELinux.



SELinux, c’est quand même la protection paranoïaque des RedHat & co.


votre avatar







Lyptow a écrit :



D’accord ou pas c’est ce que ça signifie. Et c’est même sudo qui le dit que sudo signifie su “do”. Et en plus tu nous parle seulement d’une option à sudo donc bon.

T’façon avec sudo, la seul commande utile c’est sudo -s. Le reste c’est

pour les mecs qu’aiment se compliquer la vie, qui veulent se donné un

style alors qu’ils en ont pas. <img data-src=" />



Le “man sudo” dit ça :



SUDO(8)&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; BSD System Manager’s Manual&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; SUDO(8)



NAME

&nbsp;&nbsp;&nbsp;&nbsp; sudo, sudoedit — execute a command as another user



SYNOPSIS

&nbsp;&nbsp;&nbsp;&nbsp; sudo -h | -K | -k | -V

&nbsp;&nbsp;&nbsp;&nbsp; sudo -v [-AknS] [-a type] [-g group] [-h host] [-p prompt] [-u user]

&nbsp;&nbsp;&nbsp;&nbsp; sudo -l [-AknS] [-a type] [-g group] [-h host] [-p prompt] [-U user]

&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; [-u user] [command]

&nbsp;&nbsp;&nbsp;&nbsp; sudo [-AbEHnPS] [-a type] [-C num] [-c class] [-g group] [-h host]

&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; [-p prompt] [-r role] [-t type] [-u user] [VAR=value] [-i | -s]

&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; [command]

&nbsp;&nbsp;&nbsp;&nbsp; sudoedit [-AknS] [-a type] [-C num] [-c class] [-g group] [-h host]

&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; [-p prompt] [-u user] file …



DESCRIPTION

&nbsp;&nbsp;&nbsp;&nbsp; sudo allows a permitted user to execute a command as the superuser or

&nbsp;&nbsp;&nbsp;&nbsp; another user, as specified by the security policy.



votre avatar

Suivre une formation serait peut-être mieux, je me sentirais plus en confiance

votre avatar

“sudo su -”, tellement le “sudo” me saoule sur Ubuntu. Debian en root et hop, même si le concept du “sudo” à toutes les raisons d’exister ^^

votre avatar

Tout à fait, ce sont les noob qui viennent de Windows <img data-src=" />

votre avatar

Si ça peut te conforter, je ne le suis pas non plus. Cela dit, j’ai l’habitude de me palucher des pavés de texte depuis bien longtemps (grand lecteur depuis gamin, formation initiale en droit), ça aide sans doute ! <img data-src=" />



Si tu as la motiv, suivre une “vraie” formation aide toujours c’est certain. Si tu n’es pas encore sûr de toi, comme dit auparavant tu peux te faire la main sur des commandes non dangereuses. Comme pour tout il y a à la fois l’aspect apprentissage pur et l’aspect pratique pour prendre des réflexes et se familiariser avec le simple fait de manipuler le système en ligne de commande. :)



Après si tu es sur Toulouse ou Paris et que tu veux un coup de main ou une mini-formation pratique autour d’un verre, ça peut s’arranger (ce n’est pas mon coeur de métier mais j’ai déjà assuré des formations donc je suis pas totalement novice ^^) <img data-src=" />

votre avatar

Il y a eu une session Linux il y a peu sur FUN, mais elle est maintenant terminée.

Sinon en anglais : Linux Command Line Basics.

votre avatar

Je vis en Belgique <img data-src=" />



Je suis déjà assez âgé, et, <img data-src=" /> , lent à apprendre(ça date depuis que je suis jeune°), quand je crois avoir compris, certaines choses m’échappe. il me faut plus de temps pour l’intégrer. Tout comme écrire, me prend un temps dingue, il est parfois plus utile de tout réécrire que de laisser des phrase mal construite, et compréhensible que par moi (croire que les autres pensent la même chose ne marche pas toujours)



°J’avais du mal à retenir “le loup et le chien” de La Fontaine par cœur. J’ai toujours plus misé sur la compréhension de texte que son étude par cœur. Ecrire des phrases est mon autre problème (quoique j’essaie depuis de m’améliorer ). C’est pourquoi mes phrases ont tendance à être courte (mais c’est pas toujours facile de se faire comprendre ainsi)

votre avatar

Je suis pas sys admin. Mais je suis d’accord que plus le système est restreint plus on réduit la surface d’attaque. C’était une boutade&nbsp;<img data-src=" /> ! D’ailleurs un sys admin Linux qui fait correctement sont taf devrait à minima consulter et à défaut implémenter en tout ou partie les recommandations de l’ANSSI pour la config des serveurs sous Linux. On appel ça du hardening ou en français du durcissement de configuration. Les plus téméraires valideront leur configuration à l’aide des CIS Benchmarks par exemple.

votre avatar







2show7 a écrit :



Je vis en Belgique <img data-src=" />



Chacun a ses tares, hein… <img data-src=" />







2show7 a écrit :



Je suis déjà assez âgé, et, <img data-src=" /> , lent à apprendre(ça date depuis que je suis jeune°)



On dit “je comprends vite, mais il faut m’expliquer longtemps” <img data-src=" />


votre avatar







Patch a écrit :



On dit “je comprends vite, mais il faut m’expliquer longtemps” <img data-src=" />







Oui, toujours positiver <img data-src=" /><img data-src=" />


votre avatar







Citan666 a écrit :



Elu commentaire boulet du jour. <img data-src=" />

J’espère que tu n’es pas admin sys pour de gros systèmes d’information dis donc… <img data-src=" />



Il est certain que vraiment exploiter sudo c’est assez relou parce que ça nécessite de bien concevoir sa stratégie d’élévation de privilèges. Et ce n’est qu’une manière parmi d’autres de sécuriser un système.



N’empêche que faire cet effort est gratifiant à long terme. :)

Rappel d’un principe de base de sécurité (même si c’est généralement antinomique avec la notion de flexibilité donc ça fait hurler les utilisateurs <img data-src=" />) : n’attribuer que les droits nécessaires pour limiter la surface d’exposition.



Après c’est sûr pour gérer son serveur perso, bon, on peut effectivement s’en passer <img data-src=" /> (quitte à prendre du temps, autant le passer à verrouiller un accès en root par clé ssh + ip fixe uniquement, plus pratique à terme pour les grosses maintenances sans trop compromettre la sécurité). Même si le fin du fin serait en fait de combiner ça avec sudo (connexion distante par ip+clé sur utilisateur courant, seul autorisé à exploiter sudo pour passer root par mot de passe interposé).



Et encore, je ne suis qu’un pauvre amateur. Je suis sûr que ce que je décris là couvre à peine 5% de tout ce qu’on peut faire en termes de sécurisation. <img data-src=" />







En ce qui me concerne, je trouve sudo tellement pratique et sécurisé que je le met désormais partout, surtout sur ma station de travail sous Fedora, où il n’est pas par défaut. Inutile de passer en root pour faire une mise à jour, par exemple.







2show7 a écrit :



Je vis en Belgique <img data-src=" />







Ah, dommage, tu serais sur Grenoble, je t’aurais proposé de passer te voir avec un plan de formation de base adapté à tes capacités.



Mais si ça intéresse quelqu’un du côté de Grenoble, MP.


votre avatar

Je m’amusais juste à comparer cette actualité avec les dernières sur les failles Android (par exemple) qui sont corrigées, mais dont ces mêmes corrections ne seront jamais envoyées au parc.

votre avatar







2show7 a écrit :



Je vis en Belgique <img data-src=" />





Où ?


votre avatar

Zut je suis bien en retard, mais :





Sudo, pour « superuser do »,



M’étant mis à Unix dans les années 90 <img data-src=" /> , pour moi c’est “substitute user” (ou “switch user”, parce qu’on peut faire “su toto” par exemple, ou “su - toto” pour faire comme un login.

Ce n’est pas forcément pour passer root, ça permet aussi de repasser simple utilisateur depuis root, par exemple.

votre avatar







Drepanocytose a écrit :



Où ?



La question la plus dangereuse au monde… :peur:


votre avatar







Patch a écrit :



La question la plus dangereuse au monde… :peur:





Si c’est Charleroi c’est vraiment le trou du cul de la Belgique <img data-src=" />


votre avatar







Patch a écrit :



La question la plus dangereuse au monde… :peur:







De toutes façons, je suis déjà repéré par les sites de rencontre (vaguement, sans plus)



Pas très loin de Binche <img data-src=" />


votre avatar







Drepanocytose a écrit :



Si c’est Charleroi c’est vraiment le trou du cul de la Belgique <img data-src=" />



Ce n’est pas pour ca que je disais ca.

C’est surtout que la réponse automatique à un “où” est DTC… <img data-src=" />


votre avatar







Patch a écrit :



Ce n’est pas pour ca que je disais ca.

C’est surtout que la réponse automatique à un “où” est DTC… <img data-src=" />





Je sais, je voulais faire la blague, tu me petes mon effet.. :sad:


votre avatar







Drepanocytose a écrit :



Je sais, je voulais faire la blague, tu me petes mon effet.. :sad:



Mouahaha <img data-src=" />


votre avatar

C’est effectivement l’une des significations premières communément admises : “substitute user do”, et elle représente quelque chose de plus avancé et encadré que le simple “su”.



La présenter comme étant une “simple” élévation de privilège peut être assez réducteur vis à vis des énormes possibilités de cette fonctionnalité.

votre avatar

Est-ce que ce n’est pas plus dangereux de se faire infecter sa machine (hypothèse) sous session root que sous session normal (au niveau des possibilités du malware)?

votre avatar

Je crois que t’as oublié de mettre en marche ton détecteur d’humour. <img data-src=" />

votre avatar

La solution :&nbspmicrosoft.com Microsoft

votre avatar







2show7 a écrit :



@citan666



Je me demande si ce ne serait pas plus utile de suivre une formation Linux. J’ai toujours eu des difficultés avec les périphériques extérieurs (imprimantes, et bien d’autres choses dont à l’époque de l’Amiga je pouvais m’en passer)









mais pourtant c’est tres simple :



soit ton imprimante fonctionne dans la demi-heure sous linux une fois branchée à l’ordinateur



soit tu passes par windows, sinon c’est ton N+1 qui va t’obliger à y passer de force;



la logique est commerciale et économique; l’élevage de geeks en batterie, c’est finit :) :) :)


votre avatar

linux qu’a une faille de sécu.. yen a bien une dizaine fichés L comme patch ou autres anciens libristes intégristes ici qu’ont du se planquer.. allez, sortez du placard à balai, assumez votre ‘linux c’est top sécu blabla..’

votre avatar







::1 a écrit :



mais pourtant c’est tres simple :



soit ton imprimante fonctionne dans la demi-heure sous linux une fois branchée à l’ordinateur



soit tu passes par windows, sinon c’est ton N+1 qui va t’obliger à y passer de force;



la logique est commerciale et économique; l’élevage de geeks en batterie, c’est finit :) :) :)







Je citais un exemple comme ça, mais avec l’amiga, il y avait moyen déjà de trouver un driver. J’aurai du comparer au dos des PC avant windows où il fallait manipuler des commandes (heureusement que par la suite, on a eu les préférences et des driver qui simplifiait ces difficultés), si on ne s’y connaissait pas ça devenait de longue heure de tentative et l’imprimante qui hurlait de douleur <img data-src=" /> et un résultat, je ne te dis pas le nombre de feuilles ratées <img data-src=" />


votre avatar







2show7 a écrit :



Je citais un exemple comme ça, mais avec l’amiga, il y avait moyen déjà de trouver un driver. J’aurai du comparer au dos des PC avant windows où il fallait manipuler des commandes (heureusement que par la suite, on a eu les préférences et des driver qui simplifiait ces difficultés), si on ne s’y connaissait pas ça devenait de longue heure de tentative et l’imprimante qui hurlait de douleur <img data-src=" /> et un résultat, je ne te dis pas le nombre de feuilles ratées <img data-src=" />







Pour les imprimantes sous linux, tu as grosso-modo des grandes marques (Epson, Brother et même Canon, constaté par mes soins sur le terrain) qui ont des pilotes à rajouter à ta distribution en les prenant sur leur site, de façon plus ou moins alambiquée, mais jamais trop compliquée (tuto fourni) et HP, avec ses imprimantes supportées en dur dans n’importe quelle distro, en mode branchez-utilisez.



Faut prendre un peu de temps et bien lire les modes d’emploi suivant les constructeurs, et c’est pas plus difficile au final que de faire tourner une imprimante sous Windows.


votre avatar

Mon point de vue de départ, en rapport aux commandes “shell” était plus à l’usage de ce qu’on peut mettre après le mot de commande (un requester OPTIONS/PREFERENCES qui aide beaucoup mieux que de chipoter avec les extensions des commandes sous le shell en essayant de faire de son mieux, sans être sûr de la syntaxe)



C’est après-midi j’utilisais Calc de Libre Office, je n’arrivais pas à me souvenir de la syntaxe de multiplier le chiffre de B1 avec la valeur de C1 (heureusement que cela m’est revenu, * multiplie, sans oublier les parenthèses) <img data-src=" />



je me rappelais vaguement comment faire une Somme () (ça a quand même était assez facile , cela m’est revenu)



C’est pour dire que sans notions de départ de la syntaxe des extensions de la commande, on reste sur le quai <img data-src=" />

Je dirais que je n’en ai jamais eu recours (peut-être par faute de ne pas en connaître suffisamment, et à force d’avoir souvent changé la versions Mint, sauf dernièrement , deux versions de retard )



Sauf, peut-être une seule fois pour un bug et j’ai suivi les instructions à la lettre (je ne pourrais même pas dire si ça a marché ou pas, je n’ai rien vu, et j’ai déjà oublié ce que j’ai fait)<img data-src=" />

votre avatar

Sauf que windows 7 loggué en admin ne prends au départ qu’un jeton utilisateur et te demande une élévation de droit pour les tâche admin. Sauf si tu trouvais que les pop-up te faisait chier et que tu ai redescendu le niveau des ACLs.

votre avatar

La laser couleur Brother que j’ai prise l’année dernière s’est installée comme un charme avec le petit exécutable qu’ils proposent sur leur site sur mon Ubuntu.

Même pas eu besoin d’aller chercher quoique ce soit d’autre, le script shell qu’ils donnent demande juste le modèle (compétence requise : savoir lire) et enjoy.



Je ne peux pas en dire autant quand je l’ai installée sur le WIndows 10 de mon PC de jeux. Je ne pense pas avoir réussi à lui faire cracher une page de test… La seule nécessité que j’ai sur ce système, c’est parce que l’utilitaire pour le scan vers PC n’est hélas pas porté sous Linux.

votre avatar

Sur les Windows NT6+ en effet la sécurité par moindre privilège est appliquée, donc tant qu’une commande ou un exécutable n’a pas besoin des droits admin y’a pas de demande de confirmation du système. Le mieux et de créer un compte admin, et tous les autres en user simple.



&nbsp;Mais ce n’est généralement pas appliqué.

votre avatar

D’ailleurs j’ai appris que l’UAC de Windows peut avoir un comportement similaire à la commande “sudo” des Unix.

Sur le portable de ma boîte, je suis admin du poste mais chaque action de ce type m’oblige à saisir mon compte et mot de passe. Une façon de protéger un peu plus des comportements dangereux des utilisateurs qui ont la fâcheuse tendance à faire “clic clic clic fini” sans jamais avoir lu une seule boîte de dialogue.



Je n’ai pas l’impression que ce soit répandu comme paramétrage d’ailleurs…

Linux : importante faille dans sudo, la plupart des distributions mises à jour

  • Un manque de contrôle sur les espaces

  • La plupart des distributions sont déjà à jour

Fermer